已在可扩展故障票证跟踪系统 Request Tracker 中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2013-3368 rt 命令行工具使用半预测性临时文件。恶意用户可利用此缺陷以运行 rt 命令行工具的用户的权限覆盖文件。

- CVE-2013-3369 可查看管理页面的恶意用户可运行任意 Mason 组件（未控制参数），这可能产生负面影响。

- CVE-2013-3370 Request Tracker 允许直接请求隐私回调组件，这些组件可用于利用不安全使用传递参数的 Request Tracker 扩展或本地回调。

- CVE-2013-3371 Request Tracker 容易通过附件文件名遭受跨站脚本攻击。

- CVE-2013-3372 Dominic Hargreaves 发现 Request Tracker 容易受到被限制为 Content-Disposition 标头值的 HTTP 标头注入的影响。

- CVE-2013-3373 Request Tracker 容易受到 Request Tracker 生成的出站电子邮件中 MIME 标头注入的影响。

此更新已解决 Request Tracker 库存模板问题。但应更新任何自定义电子邮件模板，以确保插值到邮件标头中的值未包含换行符。

- CVE-2013-3374 当使用基于文件的会话存储 Apache::Session::File 时，Request Tracker 容易受到限制会话重用的影响。但是，当配置为 Oracle 数据库时，Request Tracker 的默认会话配置仅使用 Apache::Session::File。

此版本 Request Tracker 包含数据库内容升级。
如果您正使用 dbconfig-managed 数据库，可选择自动应用此更新。否则，请参阅 /usr/share/doc/request-tracker3.8/NEWS.Debian.gz 中的说明了解要执行的手动步骤。

请注意，如果在 Apache Web 服务器下运行 request-tracker3.8，则必须手动停止和启动 Apache。不建议使用“重新启动”机制，尤其当使用 mod_perl 或任何形式的持久 Perl 进程，如 FastCGI 或 SpeedyCGI 时。

检测

Debian DSA-2670-1：request-tracker3.8 - 多个漏洞

medium Nessus 插件 ID 66546

未找到变更日志